Tese central

Na Medicina Inteligente, o corpo clínico é simultaneamente alvo, sensor e barreira de segurança. 
Sua capacitação é necessária, porém insuficiente quando desacompanhada de sistemas seguros, 
processos verificáveis, suporte rápido, segregação de privilégios e cultura institucional que favoreça 
o relato sem medo.

2. Proteção da Informação e da Vida Humana

A digitalização dissolveu o perímetro tradicional do hospital. O cuidado agora ocorre em:
1.	estações compartilhadas, 
2.	dispositivos móveis, 
3.	telemedicina, 
4.	nuvem, 
5.	redes de fornecedores, 
6.	PACS, 
7.	LIS, 
8.	RIS, 
9.	prontuários eletrônicos, 
10.	portais, 
11.	sistemas de farmácia,
12.	dispositivos médicos conectados. 

• O mesmo profissional pode, em poucos minutos:
•	acessar dados sensíveis, 
•	validar uma prescrição, 
•	alterar uma conduta, 
•	consultar uma imagem,
•	interagir com equipamentos que influenciam diretamente o tratamento.

• Essa interdependência ampliou a superfície de ataque.  O adversário não precisa romper inicialmente
uma barreira criptográfica complexa; pode explorar confiança, hierarquia, pressa, curiosidade, medo,
solidariedade ou expectativa de benefício. 

• A CISA define engenharia social como o uso da interação humana para induzir a entrega ou o 
comprometimento de informações e sistemas [1]. 

• Em hospitais, o pretexto é frequentemente adaptado à rotina: 
1.	resultado crítico, 
2.	escala de plantão, 
3.	atualização obrigatória, 
4.	solicitação da direção, 
5.	transferência urgente, 
6.	notificação regulatória,
7.	pedido de ajuda de um colega.

• As consequências são clínicas. Em um estudo com 374 ataques de ransomware contra organizações 
de saúde nos Estados Unidos, 44,4% produziram interrupções assistenciais documentadas, incluindo
indisponibilidade de sistemas, cancelamentos e desvio de ambulâncias [11].

• Estudos semelhantes identificaram que ciberataques causaram:
- repercussões em hospitais vizinhos, 
- aumento de demanda regional,
- alterações em atendimentos de urgência [12,13].

• Ao analisar incidentes de conhecimento público relacionado ao setor de saúde no período compreendido 
entre janeiro de 2021 a março de 2023, a ENISA encontrou ataques de ransomware em 54% dos eventos
estudados, sendo os hospitais alvos frequentes [7]. 

• Apesar de não ser possível assegurar que todo incidente de violação de segurança irá causar danos, esses 
dados fortalecem as afirmações de que deve passar a ser instituída uma política de cibersegurança institucional, 
como uma das ferramentas que integram a gestão de risco assistencial. Neste cenário, a cibersegurança deverá 
ser amplamente difundida, ensinada, monitorada e exigida entre todos os profissionais de instituições de saúde. 

• A pergunta central deixa de ser “por que um profissional clicou?” e passa a ser “por que um único clique pôde 
ser capaz de atravessar diversas camadas de controles, alcançar sistemas críticos e ameaçar o cuidado?”. 

• Essa mudança de perspectiva substitui a culpabilização isolada por uma análise de sistema visando compreender
o comportamento humano em relação ao contexto de: 
1.	desenho de identidade, 
2.	arquitetura, 
3.	privilégios, 
4.	monitoramento, 
5.	fornecedores, 
6.	contingência,
7.	governança.

3. Fundamentos conceituais

# 3.1 Engenharia social e gatilhos cognitivos

• Engenharia social é um conjunto de estratégias de influência que induz pessoas a executar ações 
contrárias à segurança.

• A mensagem fraudulenta costuma combinar verossimilhança contextual com pressão emocional. 

• Quatro gatilhos são especialmente relevantes no ambiente hospitalar:

1.	Autoridade: 
uso do nome, voz, imagem ou estilo de comunicação de diretores, chefes, reguladores, fornecedores
ou médicos seniores.

2.	Urgência: 
alegação de risco imediato ao paciente, bloqueio de conta, prazo regulatório, indisponibilidade de 
equipamento ou resultado crítico.

3.	Confiança e solidariedade: 
pedido de ajuda de colega, troca de plantão, ausência de acesso, situação de férias ou dificuldade 
operacional.

4.	Oportunidade ou medo de perda: 
benefício institucional, atualização, certificado, acesso a exame, reembolso ou ameaça de sanção.

• Esses gatilhos são eficazes porque o trabalho clínico exige rapidez, cooperação e confiança. 

• O objetivo defensivo não é eliminar tais características essenciais à Medicina, mas introduzir 
verificações proporcionais antes de ações de alto risco.

# 3.2 Confidencialidade, integridade, disponibilidade, autenticidade e rastreabilidade

• A tríade clássica da segurança da informação (3 primeiras) permanece indispensável, 
mas recebe ainda duas variáveis quando se desloca para o Setor da Saúde, descritas abaixo:

1.	Confidencialidade: limita o acesso a pessoas autorizadas,

2.	Integridade: protege o conteúdo contra alteração indevida,

3.	Disponibilidade: assegura acesso no momento necessário,

4.	Autenticidade: certeza sobre a identidade e a origem,

5.	Rastreabilidade: capacidade de reconstruir quem fez o quê, quando e em qual contexto. 

• Um ataque de engenharia social pode comprometer todas essas propriedades simultaneamente.

# Legenda 
1. Propriedade	
2. Exemplo de comprometimento clínico	
3. Controle prioritário

A)
1. Confidencialidade	
2. Credencial de médico usada para acessar prontuários de pacientes sem relação assistencial.	
3. Mínimo privilégio, MFA resistente a phishing, monitoramento e revisão de acessos.

B)
1. Integridade	
2. Alteração fraudulenta de alergia, dose, laudo, cadastro ou biblioteca de medicação.	
3. Assinatura, trilha de auditoria, controle de versão, dupla checagem e alertas de mudança.

C)
1.  Disponibilidade	
2.  Ransomware torna EHR, PACS ou servidor de farmácia indisponível.	
3.  Segmentação, backups imutáveis, restauração testada e plano de downtime clínico.

D)
1. Autenticidade	
2. Deepfake de voz simula diretor e solicita exportação de dados.	
3. Verificação fora de banda, diretório oficial e aprovação por duas pessoas.

E)
1. Rastreabilidade	
2. Conta compartilhada impede atribuir uma alteração crítica.	
3. Identidade individual, logging íntegro, sincronização temporal e retenção de registros.

# 3.3 Resiliência cibernética orientada à missão

O NIST Cybersecurity Framework 2.0 organiza resultados de segurança nas funções [4]:
•	Governar, 
•	Identificar, 
•	Proteger, 
•	Detectar, 
•	Responder,
•	Recuperar. 

• A inclusão explícita de Governar é particularmente relevante para hospitais, porque conecta 
risco cibernético à missão assistencial, aos responsáveis, aos fornecedores, aos recursos e à 
tolerância ao risco. 

• O NIST SP 800-61 Rev. 3, publicado em 2025, integra resposta a incidentes a esse ciclo e reforça 
preparação contínua [5].

• Resiliência significa reduzir a probabilidade de sucesso, detectar rapidamente, limitar propagação, 
manter funções clínicas essenciais e recuperar de forma segura. 

• Em saúde, a unidade de sucesso não é apenas “servidor restaurado”, é “cuidado mantido com risco 
aceitável”.

4. Por que o ambiente clínico é especialmente vulnerável?

O hospital reúne características que favorecem a engenharia social. São elas:
1.	urgência real, 
2.	alto volume de interrupções, 
3.	equipes rotativas, 
4.	diversidade de formação digital, 
5.	múltiplos fornecedores, 
6.	equipamentos legados, 
7.	contas de serviço, 
8.	dispositivos móveis, 
9.	pressão assistencial,
10.	comunicação entre instituições. 

• Além disso, o atacante pode obter informações públicas que tornam o pretexto mais convincente sobre. 
São notoriamente fáceis de encontrar detalhes do tipo:
•	especialidades, 
•	cargos, 
•	escalas,
•	congressos, 
•	publicações,
•	relações profissionais.

# Legenda

1. Característica do trabalho
2. Como o atacante explora	
3. Resposta sistêmica adequada

A)
1. Urgência e risco clínico	
2. Cria mensagem “resultado crítico”, “paciente transferido” ou “equipamento bloqueado”.	
3. Canal oficial de urgência; confirmação por telefone institucional; botão de relato de um clique.

B) 
1. Hierarquia	
2. Imita diretor, chefe de serviço ou médico sênior.	
3. Política que autoriza qualquer pessoa a verificar ordens digitais incomuns sem punição.

C)
1. Mobilidade e plantões	
2. Usa SMS, mensageria e QR code fora da estação corporativa.	
3. Gestão de dispositivos, separação pessoal/corporativa, acesso condicional e treinamento por contexto.

D)
1. Trabalho compartilhado	
2. Explora sessões abertas, contas coletivas e estações de uso comum.	
3. Login individual rápido, bloqueio automático, cartões de proximidade e proibição de credenciais 
compartilhadas.

E)
1. Ecossistema de fornecedores	
2. Simula suporte de equipamentos, laboratório, nuvem ou faturamento.	
3. Cadastro oficial, contratos com requisitos de segurança e validação de solicitações técnicas.

F)
1. Fadiga e interrupções	
2. Escolhe horários de pico, troca de turno ou madrugada.	
3. Controles que não dependam apenas de atenção; filas de aprovação; mensagens padronizadas 
e redução de ruído.

G)
1. Dados de alto valor e longa duração	
2. Explora prontuários, genética, imagens e dados financeiros.	
3. Minimização, segmentação, criptografia, DLP e detecção de acesso anômalo.

• Estudos de simulação demonstram suscetibilidade mensurável e, ao mesmo tempo, benefício 
de campanhas repetidas. 

• Em seis instituições de saúde, quase 3 milhões de e-mails simulados foram enviados; 14,2% foram 
clicados e campanhas sucessivas se associaram a menor probabilidade de cliques futuros [14]. 

• Esse resultado apoia treinamento contínuo, mas não justifica “testes-armadilha” punitivos. 

• A simulação deve:
•	produzir aprendizado, 
•	medir processos,
•	identificar onde o desenho institucional falha.

5. Taxonomia dos principais ataques contra o corpo clínico

# Legenda
1. Modalidade	
2. Mecanismo	
3. Exemplo hospitalar fictício	
4. Risco principal

A) 
1. Phishing	
2. Mensagem ampla por e-mail com link ou anexo.	
3. “Atualize sua senha do prontuário até as 18h.”	
4. Roubo de credencial, malware, acesso inicial.

B)
1. Spear phishing	
2. Mensagem personalizada para pessoa ou setor.	
3. “Dr. X, revise o laudo crítico do paciente transferido.”	
4. Maior credibilidade e acesso privilegiado.

C) 
1. Whaling	
2. Alvo com poder decisório ou elevado privilégio.	
3. Solicitação falsa ao diretor clínico para liberar exportação de dados.	
4. Acesso estratégico, fraude e decisão de alto impacto.

D)
1. Smishing	
2. SMS ou aplicativo de mensagens.	
3. Link para “nova escala do plantão” ou “pendência do conselho”.	
4. Captura de senha em dispositivo móvel.

E)
1. Vishing	
2. Ligação de voz com pretexto.	
3. Falso suporte solicita código de autenticação.	
4. Divulgação de segredo, reset de conta ou aprovação indevida.

F)
1. Deepfake	
2. Voz ou vídeo sintético de pessoa conhecida.	
3. Diretor em videoconferência solicita ação emergencial.	
4. Abuso de autoridade e quebra de processo.

G)
1. Quishing	
2. QR code que oculta o endereço de destino.	
3. QR em cartaz ou PDF para “manual de atualização do equipamento”.	
4. Redirecionamento malicioso e instalação indevida.

H)
1. MFA fatigue	
2. Múltiplas solicitações de aprovação até a vítima aceitar.	
3. Notificações repetidas durante plantão noturno.	
4. Sequestro de sessão apesar de MFA fraco.

I)
1. Pretexting físico	
2. História falsa para entrar em área ou obter informação.	
3. “Técnico terceirizado” pede acesso a sala de servidores ou estação clínica.	
4. Tailgating, instalação de dispositivo e observação de credenciais.

J)
1. Baiting	
2. Oferta de arquivo, mídia ou benefício.	
3. Pen drive “protocolos atualizados” deixado na sala médica.	
4. Execução de malware e comprometimento do endpoint.

• O cadeado do navegador e o uso de HTTPS não são prova suficiente de legitimidade. 
Sites fraudulentos também podem obter certificados válidos. A verificação deve considerar:
1.	domínio,
2.	identidade, 
3.	contexto, 
4.	origem da solicitação, 
5.	canal conhecido,
6.	política institucional. 

• Para operações sensíveis, recomenda-se ainda autenticação resistente a phishing, como 
FIDO2/WebAuthn, em vez de depender exclusivamente de SMS, códigos ou aprovações push [3].

6. Do “elo fraco” à barreira clínica de cibersegurança

• A expressão “elo mais fraco” simplifica em excesso o problema e pode gerar culpabilização. 

• Profissionais clicam porque mensagens são desenhadas para parecer legítimas em um contexto 
de trabalho que  favorece decisões rápidas. 

• O modelo mais produtivo é tratar o corpo clínico como camada de detecção e contenção, desde 
que devidamente ensinado, treinado e supervisionado
.  
• Pessoas próximas ao cuidado são capazes de perceber anomalias que ferramentas isoladas não 
compreendem como uma solicitação incompatível com:
1. o quadro clínico, 

2. um fluxo incomum

3. uma ordem que contradiz a rotina.

# 6.1 Competências mínimas esperadas
•	Reconhecer sinais de urgência artificial, domínio semelhante, anexos inesperados, QR codes, 
pedido de segredo,  bypass de processo e solicitações repetidas de MFA.

•	Verificar identidade por canal independente e conhecido, nunca pelo contato fornecido na própria 
mensagem suspeita.

•	Recusar compartilhamento de senha, token, código, dados clínicos ou arquivos sem base assistencial
e autorização.

•	Reportar imediatamente, preservando mensagem, horário, remetente, dispositivo e ação realizada.

•	Acionar contingência clínica quando a indisponibilidade ou a suspeita puder afetar o cuidado.

•	Conhecer limites: 
1.	não investigar sozinho, 

2.	não confrontar o atacante,

3.	não tentar “resolver” ocultando o incidente.

# 6.2 Condutas institucionais que tornam o comportamento seguro viável
•	Canal único, simples e disponível 24/7 para relato de suspeitas.

•	Tempo protegido e treinamento compatível com plantões, profissões e riscos reais.

•	Processos de verificação que não atrasem indevidamente decisões clínicas urgentes.

•	Autenticação rápida, individual e resistente a phishing.

•	Política de cultura justa, para que sejam tratadas de modo distinto do erro não intencional:
1.	ausência do relato precoce,
2.	ocultação deliberada,
3.	violações conscientes.

•	Feedback objetivo após simulações e incidentes, com melhoria do processo e não exposição 
pública do indivíduo.

7. Responsabilidade ética, profissional e institucional

- O Código de Ética Médica oferece bases importantes para interpretar a cibersegurança no exercício 
profissional. Entre seus princípios estão [26]:

1.	o dever de aprimoramento contínuo, 

2.	o uso do progresso científico em benefício do paciente, 

3.	o sigilo, 

4.	a diligência, 

5.	a competência,

6.	a prudência. 

•	O art. 1º veda causar dano por ação ou omissão caracterizável como imperícia, imprudência 
ou negligência, mas seu parágrafo único afirma que a responsabilidade é pessoal e não pode ser 
presumida. 

•	Os arts. 73, 78 e 85 reforçam sigilo, orientação de auxiliares e proteção do prontuário. 

•	O art. 19 atribui ao médico em função de direção o dever de assegurar condições adequadas,
ao desempenho ético-profissional. Neste contexto, a cibersegurança assume a mesma relevância
que é dada as outras questões relacionadas à segurança ao profissional médico para o exercício
da profissão.

- Essas normas permitem formular uma conclusão equilibrada, que é:

•	em ambiente digital, ignorar conscientemente políticas claras, compartilhar credenciais ou ocultar
incidente relevante pode integrar uma avaliação de conduta; 

•	o simples fato de ter sido enganado não demonstra automaticamente negligência. 

- Devem ser examinados:
•	treinamento, 
•	complexidade do ataque, 
•	carga de trabalho, 
•	fadiga, 
•	usabilidade, 
•	controles existentes, 
•	proporcionalidade da exigência,
•	nexo causal,
•	qualidade da resposta.

# 7.1 Responsabilização Compartilhada e Distribuída
1.	A instituição deve fornecer:
•	arquitetura segura, 
•	processos, 
•	suporte,
•	contingência.

2.	Fabricantes devem:
•	aplicar segurança por projeto,
•	gerenciar vulnerabilidades.

3.	Fornecedores devem:
•	proteger a cadeia.

4.	Gestores devem:
•	priorizar risco.

5.	Profissionais devem:
•	cumprir práticas razoáveis,
•	reportar.

6.	Autoridades devem:
•	criar coordenação,
•	parâmetros setoriais. 

Culpar exclusivamente o usuário cria uma falsa sensação de correção e preserva a vulnerabilidade 
estrutural.

# 7.2 Princípio de não culpabilização simplista

Treinar o corpo clínico não autoriza a instituição a transferir para ele o risco residual de sistemas 
inseguros. A competência humana deve ser uma camada adicional e não a única barreira entre 
um atacante e um sistema crítico.

8. Governança hospitalar e programa de capacitação

# 8.1 Modelo de seis pilares

# Legenda

1. Pilar	
2. Elementos essenciais	
3. Responsáveis principais

A)
1. Governança	
2. Política aprovada; papéis; apetite de risco; integração com segurança do paciente; orçamento; gestão de terceiros.	
3. Alta administração, direção técnica/clínica, CISO, DPO, qualidade.

B)
1. Identidade e acesso	
2. MFA resistente a phishing; mínimo privilégio; contas individuais; acesso condicional; revisão periódica.	
3. TI, segurança, RH, gestores de sistema.

C)
1. Formação contextual	
2. Integração, microtreinamentos, simulações, deepfake, QR, plantão e fornecedores.	
3. Educação permanente, segurança, corpo clínico e comunicação.

D)
1. Detecção e relato	
2. Botão de reporte; SOC/CSIRT 24/7; triagem; métricas; proteção ao relator.	
3. SOC/CSIRT, service desk, segurança do paciente.

E)
1. Continuidade clínica	
2. Downtime, formulários, comunicação alternativa, priorização de serviços, reconciliação posterior.	
3. Direção clínica, enfermagem, farmácia, laboratório, engenharia clínica.

F)
1. Aprendizado e melhoria	
2. Análise sem culpa, lições aprendidas, indicadores, revisão de contratos e arquitetura.	
3. Governança, qualidade, jurídico, fornecedores e lideranças assistenciais.

# 8.2 Trilha de Capacitação Recomendadas

1.	Integração inicial de 45–60 minutos com cenários reais do hospital e demonstração dos canais oficiais.

2.	Microtreinamentos mensais de 5–8 minutos, alternando e-mail, SMS, QR code, voz, deepfake, MFA 
e uso seguro de IA generativa.

3.	Simulações trimestrais graduais, com feedback imediato e sem humilhação ou exposição nominal.

4.	Exercício semestral de mesa envolvendo corpo clínico, TI, farmácia, laboratório, engenharia clínica, 
comunicação, jurídico e direção.

5.	Teste anual de continuidade: indisponibilidade de EHR/PACS, reconciliação de prescrições, identificação 
de pacientes e restauração de backups.

6.	Recertificação baseada em competência, não apenas presença, com reforço direcionado a setores de 
maior risco.

7. O HHS disponibiliza metas de desempenho cibernético específicas para saúde, divididas em práticas 
essenciais e aprimoradas, enfatizando:

•	identidade, 
•	proteção de e-mail,
•	vulnerabilidades, 
•	segmentação, 
•	backups, 
•	resposta,
•	treinamento [6]. 

9. Benefícios e desafios

# 9.1 Benefícios esperados
•	Detecção mais precoce e redução do tempo de permanência do atacante.

•	Menor probabilidade de comprometimento de credenciais e propagação lateral.

•	Maior proteção de prontuários, imagens, prescrições e dados sensíveis.

•	Preservação da continuidade assistencial e melhor resposta a indisponibilidades.

•	Integração entre cibersegurança, tecnovigilância, qualidade e segurança do paciente.

•	Maior confiança dos profissionais para interromper solicitações suspeitas e relatar incidentes.

•	Evidências para auditoria, melhoria, conformidade e gestão de fornecedores.

# 9.2 Desafios e riscos de implementação inadequada

•	Treinamentos genéricos, longos e desconectados do fluxo clínico.

•	Simulações punitivas que reduzem a confiança e incentivam ocultação.

•	Fadiga de alertas e excesso de controles que levam a atalhos inseguros.

•	Contas compartilhadas, equipamentos legados e baixa interoperabilidade.

•	Escassez de equipes de segurança e fragmentação entre TI e assistência.

•	Dependência de fornecedores sem requisitos contratuais e sem transparência de vulnerabilidades.

•	Medição centrada apenas na taxa de clique, ignorando relato, tempo de resposta, contenção e
impacto clínico.

•	Risco de atribuir ao indivíduo falhas de desenho, governança ou condições de trabalho.

10. Panorama Comparativo entre Brasil e Mundo

Legenda

1. Dimensão	
2. Referências internacionais	
3. Brasil: situação e oportunidade

A)
1. Governança de risco	
2. NIST CSF 2.0; NIST SP 800-61r3; HHS CPGs; OMS/Europa [4–6,9].	
3. PNCiber (Decreto 11.856/2023) e E-Ciber atualizada em 2025 estruturam governança nacional; falta maior
tradução setorial para fluxos clínicos [22,23].

B)
1. Proteção de dados e incidentes	
2. GDPR, NIS2 e estruturas nacionais; abordagem setorial da saúde na UE [28].	
3. LGPD exige medidas de segurança; Resolução ANPD 15/2024 prevê comunicação de incidentes relevantes à 
ANPD e titulares em três dias úteis [20,21].

C) 
1. Dispositivos médicos	
2. FDA exige documentação e gestão de risco cibernético para cyber devices; UE integra dispositivos e resiliência 
digital [27,28].	
3. Anvisa publicou o Guia 38/2020 e atualizou manuais de regularização de equipamentos e SaMD; 
oportunidade de fortalecer requisitos operacionais e pós-mercado [24,25].

D)
1. Capacitação do workforce	
2. HHS e CISA oferecem metas, guias e recursos; simulações são amplamente estudadas [1,2,6,14–18].	
3. Capacitação ocorre de forma heterogênea; hospitais podem integrar educação permanente, NR, qualidade, 
LGPD e segurança do paciente.

E)
1. Continuidade clínica	
2. Ciberincidente tratado como evento de resiliência e, em estudos, como potencial desastre regional [12,13].	
3. Planos de contingência costumam existir por sistema, mas nem sempre são testados como processo clínico 
interdisciplinar.

F)
1. Cultura e responsabilização
2. Ênfase crescente em governança, segurança por projeto e fatores humanos.	
3. O Código de Ética sustenta diligência, sigilo e atualização, mas também impede presunção automática de 
responsabilidade [26].

G)
1. Métricas	
2. Maturidade, tempo de detecção, resposta, restauração, identidade e risco de terceiros.	
3. Oportunidade de padronizar indicadores clínico-cibernéticos nacionais e compartilhamento anonimizado de
lições aprendidas.

• O Brasil já possui bases legais e estratégicas relevantes: LGPD, regulamentação de incidentes, PNCiber, E-Ciber 
e orientação da Anvisa. 

• A lacuna central não é ausência absoluta de normas, mas a necessidade de operacionalizar essas referências em 
cada serviço, com papéis, treinamento, métricas e continuidade ligados à realidade assistencial. 

• A comparação internacional deve servir como fonte de práticas e não como simples ranking.

11. Três cenários clínico-computacionais fictícios

• Aviso sobre os cenários
Todos os nomes, domínios, mensagens, instituições e resultados são fictícios. Os códigos não acessam redes,
não executam conteúdo malicioso e foram concebidos apenas para demonstrar lógica defensiva.

11.1 Cenário — Spear phishing com falso resultado crítico do PACS

Durante o plantão, um médico recebe e-mail com o assunto “Resultado crítico — revisão imediata”. 

•	A mensagem usa logotipo semelhante ao do hospital e informa que um laudo de angiotomografia 
está pendente. 

•	O botão conduz a um portal que imita a autenticação do PACS. 

•	O profissional digita usuário, senha e aprova uma notificação push. 

•	O atacante passa a ter sessão válida, consulta imagens e tenta acessar o prontuário.

# Legenda 

1. Elemento	
2. Análise

A)
1. Vulnerabilidade explorada	
2. Urgência clínica, familiaridade com o PACS, domínio visual semelhante e MFA
baseado em push.

B)
1. Possível impacto	
2. Violação de sigilo, indisponibilidade, uso de identidade médica, acesso a imagens e 
atraso na comunicação de achado real.

C)
1. Barreiras preventivas	
2. FIDO2/WebAuthn, domínio protegido, banner para mensagens externas, URL rewriting, 
acesso condicional, mínimo privilégio e login iniciado pelo portal conhecido.

D)
1. Resposta imediata	
2. Interromper interação, reportar, revogar sessão/tokens, trocar credencial, revisar logs, 
avaliar acesso a pacientes e assegurar comunicação do resultado verdadeiro.

E)
1. Aprendizado	
2. Mensagens de resultado crítico não devem exigir autenticação por link recebido; 
o fluxo deve partir do sistema oficial.

# Código defensivo — Triagem didática de sinais de phishing
Python

from dataclasses import dataclass
from urllib.parse import urlparse
import re

DOMINIOS_CONFIAVEIS = {
    "hospital.exemplo.br",
    "pacs.hospital.exemplo.br",
}
TERMOS_DE_PRESSAO = {
    "urgente", "resultado crítico", "bloqueio", "expira hoje",
    "aprovar agora", "reautentique",
}

@dataclass
class Mensagem:
    remetente: str
    assunto: str
    corpo: str
    urls: list[str]


def avaliar(m: Mensagem) -> tuple[int, list[str]]:
    pontos, motivos = 0, []
    dominio = m.remetente.rsplit("@", 1)[-1].lower()

    if dominio not in DOMINIOS_CONFIAVEIS:
        pontos += 3
        motivos.append("remetente fora dos domínios institucionais")

    texto = f"{m.assunto} {m.corpo}".lower()
    if any(termo in texto for termo in TERMOS_DE_PRESSAO):
        pontos += 2
        motivos.append("linguagem de urgência ou pressão")

    if re.search(r"(senha|token|código|mfa|autentica)", texto):
        pontos += 2
        motivos.append("solicitação relacionada a credencial")

    for url in m.urls:
        host = (urlparse(url).hostname or "").lower()
        if host not in DOMINIOS_CONFIAVEIS:
            pontos += 3
            motivos.append(f"URL externa: {host or 'host inválido'}")

    return pontos, sorted(set(motivos))


def decisao(pontos: int) -> str:
    if pontos >= 5:
        return "BLOQUEAR E REPORTAR"
    if pontos >= 2:
        return "VERIFICAR POR CANAL INSTITUCIONAL INDEPENDENTE"
    return "SEGUIR COM CAUTELA"

# Limitações: 
Pontuação simples produz falsos positivos e falsos negativos. Em produção, 
a análise deve combinar:
•	autenticação de e-mail, 
•	reputação, 
•	sandbox, 
•	identidade, 
•	contexto, 
•	telemetria,
•	revisão humana,
•	O código não substitui:
1. gateway seguro,
2. nem valida legitimidade clínica.

11.2 Cenário — Vishing e deepfake de diretor clínico na UTI

• Uma intensivista recebe ligação de vídeo com voz e rosto aparentemente 
compatíveis com o diretor clínico. 

• O interlocutor afirma que uma auditoria urgente exige exportar uma lista 
de pacientes e solicita que a médica aprove uma notificação de acesso. 

• A imagem apresenta pequenas inconsistências, mas o discurso usa nomes
reais e detalhes públicos da instituição.

# Legenda
1. Elemento	
2. Análise

A)
1. Vulnerabilidade explorada	Autoridade, urgência, respeito hierárquico e capacidade de 
síntese de voz/vídeo.
2. Possível impacto	Exportação de dados sensíveis, aprovação de sessão, fraude, acesso
privilegiado e comprometimento de decisões.

B)
1. Barreiras preventivas	
2. Callback para número do diretório oficial, palavra-código institucional,ticket verificável, 
dupla aprovação e proibição de aprovação MFA solicitada por chamada não iniciada.

D)
1. Resposta imediata	
2. Encerrar chamada, verificar identidade, negar push, relatar ao SOC/CSIRT, preservar metadados 
e alertar setores potencialmente abordados.

E)
1. Aprendizado	
2. Voz, vídeo e conhecimento contextual não são mais provas suficientes de identidade.

# Código defensivo — Regra de decisão para solicitações urgentes de alto risco 
Python

from enum import Enum

class Resultado(Enum):
    NEGAR = "NEGAR"
    SUSPENDER = "SUSPENDER E VERIFICAR"
    APROVAR = "APROVAR"

CAMPOS_OBRIGATORIOS = {
    "ticket_oficial",
    "callback_diretorio",
    "segundo_aprovador",
    "finalidade_documentada",
}

def validar_solicitacao(pedido: dict) -> tuple[Resultado, list[str]]:
    pendencias = []

    if pedido.get("origem") in {"chamada_nao_solicitada", "video_nao_solicitado"}:
        pendencias.append("origem não confiável")

    if pedido.get("solicita_mfa"):
        pendencias.append("nunca aprovar MFA a pedido de terceiros")

    faltantes = CAMPOS_OBRIGATORIOS - set(pedido.get("evidencias", []))
    if faltantes:
        pendencias.append("faltam controles: " + ", ".join(sorted(faltantes)))

    if pedido.get("dados_sensiveis") and not pedido.get("base_autorizada"):
        return Resultado.NEGAR, pendencias + ["ausência de base e autorização"]

    if pendencias:
        return Resultado.SUSPENDER, pendencias

    return Resultado.APROVAR, ["processo institucional completo"]

# Nota:
A lógica principal é processual: 
Nenhuma evidência biométrica superficial substitui verificação fora de banda. 
Em situações verdadeiramente emergenciais, a instituição deve possuir fluxo 
acelerado previamente definido, com:
•	registro,
•	revisão posterior. 

11.3 Cenário — Quishing em falsa atualização de bombas de infusão

• Um cartaz e um PDF circulam com QR code para “atualização urgente da 
biblioteca de medicamentos”. 

• O link conduz ao download de um instalador não assinado. 

• Um profissional, tentando ajudar durante indisponibilidade do suporte, executa o 
arquivo em estação compartilhada que possui acesso ao servidor de gestão das bombas. 

• O pacote instala malware e inicia varredura de rede, exfiltração e criptografia.

# Legenda
1. Elemento	
2. Análise

A)
1. Vulnerabilidade explorada	
2. Confiança em material visual, urgência de segurança do equipamento, estação 
compartilhada e ausência de validação de pacote.

B)
1. Possível impacto	
2. Indisponibilidade do servidor de biblioteca, retorno a programação manual, atraso 
de infusões, risco de dose, perda de dados e propagação para outros sistemas.

C)
1. Barreiras preventivas	
2. Atualizações apenas por repositório autenticado, assinatura digital, allowlisting, 
segmentação IoMT, contas sem privilégio administrativo e mudança formal aprovada.

D)
1. Resposta imediata	
2. Isolar estação, acionar engenharia clínica e SOC, preservar evidências, ativar 
contingência de bombas, conferir bibliotecas e reconciliar configurações após restauração.

E)
1. Aprendizado	
2. Integridade do software médico é requisito clínico; atualização não pode depender 
de QR code ou mídia não verificada.

# Código defensivo — Verificação de integridade contra manifesto aprovado 
Python

from pathlib import Path
import hashlib
import json


def sha256(caminho: Path) -> str:
    h = hashlib.sha256()
    with caminho.open("rb") as arquivo:
        for bloco in iter(lambda: arquivo.read(1024 * 1024), b""):
            h.update(bloco)
    return h.hexdigest()


def verificar_pacote(pacote: Path, manifesto: Path) -> tuple[bool, str]:
    dados = json.loads(manifesto.read_text(encoding="utf-8"))
    registro = dados.get("pacotes_aprovados", {}).get(pacote.name)

    if not registro:
        return False, "pacote não consta no manifesto institucional"
    if registro.get("status") != "aprovado":
        return False, "pacote sem aprovação de mudança"

    calculado = sha256(pacote)
    if calculado != registro.get("sha256"):
        return False, "hash divergente: possível alteração ou arquivo incorreto"

    return True, "hash confere; ainda validar assinatura e origem segura"


# Nota:
O hash detecta alteração, mas não comprova sozinho a identidade do fornecedor. 
Em ambiente real, deve ser combinado com:
•	assinatura digital verificada, 
•	cadeia de confiança, 
•	Secure Boot,
•	repositório autenticado, 
•	inventário, 
•	SBOM, 
•	change control
•	validação pós-instalação. 

A orientação de segurança cibernética da Anvisa atribui responsabilidades a:
•	fabricantes, 
•	serviços de saúde,
•	demais intervenientes ao longo do ciclo de vida [24].

12. Algoritmo institucional de resposta proposto

PARAR - VERIFICAR - REPOSTAR - CONTER - CUIDAR 

# Legenda

1. Etapa	
2. Ação do profissional	
3. Ação institucional

A)
1. PARAR	
2. Não clicar, não responder, não aprovar MFA, não executar arquivo e não compartilhar dado.	
3. Manter controles que permitam interromper sem comprometer o atendimento.

B)
1. VERIFICAR	
2. Confirmar por canal conhecido, diretório oficial ou sistema já autenticado.	
3. Disponibilizar contatos, tickets e fluxos de urgência verificáveis.

C)
1. REPORTAR	
2. Encaminhar mensagens, horário, canal, dispositivo e o que foi feito.	
3. SOC/CSIRT 24/7, botão de relato e triagem clínica-cibernética.

D)
1. CONTER	
2. Se houve exposição, desconectar sessão conforme orientação e evitar uso adicional.	
3. Revogar tokens, redefinir credenciais, isolar endpoint, investigar escopo e terceiros.

E)
1. CUIDAR	
2. Informar impacto no fluxo e ativar contingência quando necessário.	
3. Priorizar segurança do paciente, downtime, reconciliação e comunicação assistencial.

F)
1. APRENDER	
2. Participar do debriefing e ajustar prática.	
3. Análise de causa sistêmica, feedback, revisão de controles e compartilhamento anonimizado.

- Quando dados pessoais forem afetados e o incidente puder acarretar risco ou dano relevante, 
o controlador deve avaliar as obrigações da LGPD e da Resolução CD/ANPD nº 15/2024. 

- A ANPD informa prazo de três dias úteis para comunicação à Autoridade e aos titulares, ressalvadas 
regras específicas [21]. Essa decisão cabe à governança do controlador, não ao profissional isoladamente, 
mas depende de relato precoce e completo.

13. Indicadores de desempenho e maturidade

- A taxa de clique é apenas um indicador intermediário. 
Um programa maduro 
mede:
•	prevenção, 
•	detecção, 
•	resposta, 
•	continuidade,
•	aprendizado. 

- Indicadores sem exposição nominal desnecessária, devem ser 
analisados por:
•	tendência, 
•	contexto,
•	risco.

# Legenda
1. Indicador
2. Interpretação	
3. Meta conceitual

A)
1. Taxa de relato de mensagens simuladas	
2. Capacidade de reconhecer e comunicar.	
3. Aumentar progressivamente, com relato rápido.

B)
1. Tempo mediano até o primeiro relato	
2. Velocidade do sensor humano.	
3. Reduzir sem pressionar de forma punitiva.

C)
1. Taxa de envio de credenciais	
2. Gravidade maior que simples clique.	
3. Próxima de zero, com reforço direcionado.

D)
1. Aprovações indevidas de MFA	
2. Fragilidade de identidade e processo.	
3. Eliminar; migrar para MFA resistente a phishing.

E)
1. Tempo para revogar sessão/credencial	
2. Eficiência de contenção.	
3. Minutos, conforme criticidade.

F)
1. Cobertura de contas com mínimo privilégio	
2. Redução do impacto pós-comprometimento.	
3. 100% das contas críticas revisadas.

G)
1. Restauração testada de sistemas clínicos	
2. Capacidade real de recuperação.	
3. Testes regulares com RTO/RPO definidos.

H)
1. Adesão aos exercícios de downtime	
2. Resiliência assistencial.	
3. Equipes críticas treinadas e avaliadas.

I)
1. Incidentes de terceiros	
2. Risco de supply chain.	
3. Inventariar, classificar e exigir planos corretivos.

J)
1. Ações de melhoria concluídas	
2. Transformação de eventos em aprendizado.	
3. Prazo e responsável definidos para cada ação.

- A maturidade pode ser representada em cinco níveis, a saber:
1.	reativo
2.	básico,
3.	definido, 
4.	medido,
5.	adaptativo. 

• O objetivo não é obter uma nota abstrata, mas identificar quais riscos clínicos 
permanecem sem barreiras proporcionais. A avaliação da OMS/Europa propõe 
olhar integrado para governança, processos, tecnologia, pessoas e privacidade [9]. 

14. Perspectivas futuras

•	Deepfakes multimodais mais convincentes exigirão:
1.	autenticação de origem, 
2.	verificação fora de banda,
3.	educação para Zero Trust “não confiar apenas no que se vê ou ouve”.

•	Em sistemas críticos a autenticação sem senha e resistente a phishing deverá 
substituir gradualmente:
1.	senhas, 
2.	SMS,
3.	push simples.

•	Desde que não se convertam em vigilância abusiva ou discriminação, treinamentos
adaptativos poderão usar:
1.	risco, 
2.	função,
3.	padrões de erro. 

•	IA defensiva poderá priorizar e explicar mensagens suspeitas, mas também produzir
falsos positivos, no entanto, permanecerão necessárias:
1.	supervisão humana,
2.	avaliação contínua.
.
•	Segurança por projeto, SBOM, assinaturas, gestão de vulnerabilidades e atualizações 
seguras serão cada vez mais importantes em:
1.	DMIA, 
2.	SaMD,
3.	IoMT. 

• A FDA atualizou sua orientação de cibersegurança de dispositivos médicos em 2026, 
reforçando projeto resiliente e documentação [27].

•	No Brasil, a E-Ciber de 2025 cria oportunidade para:
1.	planos setoriais de saúde, 
2.	indicadores nacionais,
3.	integração 
4.	Visando:
5.	cibersegurança, 
6.	proteção de dados, 
7.	tecnovigilância,
8.	segurança do paciente [23].

• O futuro não será resolvido apenas por mais tecnologia. Como ataques de 
engenharia social exploram relações humanas e contextos organizacionais, 
a resposta deverá combinar:
•	qualificação específica dos profissionais de saúde, 
•	tecnologia forte, 
•	processos simples, 
•	liderança responsável, 
•	alfabetização digital,
•	compromisso ético com o cuidado.

15. Considerações finais

1.	Cibersegurança como parte da qualidade assistencial
•	Segurança digital hospitalar não é apenas tarefa da TI ou tema financeiro.
•	Ataques que capturam credenciais, alteram prontuários ou interrompem sistemas afetam diretamente 
a prática médica e podem colocar pacientes em risco.

2.	Competências necessárias para profissionais de saúde
•	Médicos e demais profissionais precisam dominar noções básicas de cibersegurança.
•	Entre elas: reconhecer manipulações, validar solicitações, proteger identidades, reportar incidentes 
e colaborar na continuidade do cuidado.
•	Essa capacitação deve ser proporcional, ensinada e integrada ao trabalho cotidiano.

3.	Responsabilidade institucional
•	Não é realista exigir perfeição dos profissionais em sistemas mal projetados (contas compartilhadas, 
excesso de alertas, falta de suporte).
•	A instituição deve garantir:
1.	Governança e segurança desde o projeto.
2.	Princípio do mínimo privilégio.
3.	Autenticação resistente a phishing.
4.	Segmentação de redes.
5.	Backups testados.
6.	Gestão de terceiros.
7.	Cultura justa.
8.	Planos clínicos de contingência.
•	O sucesso ocorre quando o profissional consegue agir com segurança sem comprometer a urgência 
do cuidado.

4.	Dimensão ética
•	A Medicina digital aumenta o dever de atualização e prudência.
•	Erros humanos não devem gerar presunção automática de culpa.
•	A responsabilidade deve ser analisada caso a caso, considerando também falhas de gestão, arquitetura, 
treinamento e condições de trabalho.
•	O corpo clínico não é o “elo fraco”; quando bem apoiado, torna-se uma barreira inteligente que protege 
dignidade, sigilo, continuidade e vida.

Síntese final

- Em um hospital digital, proteger credenciais, sistemas e dispositivos é também proteger decisões clínicas. 
- Cibersegurança bem governada transforma vigilância humana em segurança do paciente.

16. Referências

1. Cybersecurity and Infrastructure Security Agency (CISA). Avoiding Social Engineering and Phishing Attacks. Washington, DC; 2021.
2. Cybersecurity and Infrastructure Security Agency (CISA). Teach Employees to Avoid Phishing. Secure Your Business guidance.
3. Cybersecurity and Infrastructure Security Agency (CISA). Implementing Phishing-Resistant MFA. Washington, DC.
4. National Institute of Standards and Technology. The NIST Cybersecurity Framework (CSF) 2.0. NIST CSWP 29. Gaithersburg; 2024.
5. National Institute of Standards and Technology. Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile. NIST SP 800-61 Rev. 3. 2025.
6. US Department of Health and Human Services. Healthcare and Public Health Cybersecurity Performance Goals. 2024.
7. European Union Agency for Cybersecurity (ENISA). ENISA Threat Landscape: Health Sector. Athens; 2023.
8. European Union Agency for Cybersecurity (ENISA). ENISA Threat Landscape 2024. Athens; 2024.
9. World Health Organization Regional Office for Europe. Cybersecurity and Privacy Maturity Assessment and Strengthening for Digital Health Information Systems. Copenhagen; 2025.
10. World Health Organization. Global Patient Safety Action Plan 2021–2030. Geneva; 2021.
11. Neprash HT, McGlave CC, Cross DA, et al. Trends in Ransomware Attacks on US Hospitals, Clinics, and Other Health Care Delivery Organizations, 2016–2021. JAMA Health Forum. 2022;3(12):e224873. doi:10.1001/jamahealthforum.2022.4873.
12. Dameff C, Tully J, Chan TC, et al. Ransomware Attack Associated With Disruptions at Adjacent Emergency Departments in the US. JAMA Network Open. 2023;6(5).
13. Abouk R, Powell D. Ransomware Attacks, ED Visits and Inpatient Admissions in Targeted and Nearby Hospitals. JAMA. 2024;331(24):2129–2131. doi:10.1001/jama.2024.7752.
14. Gordon WJ, Wright A, Aiyagari R, et al. Assessment of Employee Susceptibility to Phishing Attacks at US Health Care Institutions. JAMA Network Open. 2019;2(3):e190393.
15. Priestman W, Anstis T, Sebire IG, Sridharan S, Sebire NJ. Phishing in Healthcare Organisations: Threats, Mitigation and Approaches. BMJ Health & Care Informatics. 2019;26:e100031.
16. Jalali MS, Bruckes M, Westmattelmann D, Schewe G. Why Employees (Still) Click on Phishing Links: Investigation in Hospitals. Journal of Medical Internet Research. 2020;22(1):e16775.
17. Rizzoni F, Magalini S, Casaroli A, et al. Phishing Simulation Exercise in a Large Hospital: A Case Study. Digital Health. 2022;8.
18. Nifakos S, Chandramouli K, Nikolaou CK, et al. Influence of Human Factors on Cyber Security within Healthcare Organisations: A Systematic Review. Sensors. 2021;21(15):5119.
19. Yeo LH, Banfield J. Human Factors in Electronic Health Records Cybersecurity Breach: An Exploratory Analysis. Perspectives in Health Information Management. 2022.
20. Brasil. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD).
21. Autoridade Nacional de Proteção de Dados. Resolução CD/ANPD nº 15, de 24 de abril de 2024. Regulamento de Comunicação de Incidente de Segurança.
22. Brasil. Decreto nº 11.856, de 26 de dezembro de 2023. Institui a Política Nacional de Cibersegurança e o Comitê Nacional de Cibersegurança.
23. Brasil. Decreto nº 12.573, de 4 de agosto de 2025. Institui a Estratégia Nacional de Cibersegurança (E-Ciber).
24. Agência Nacional de Vigilância Sanitária. Guia nº 38/2020: Princípios e Práticas de Cibersegurança em Dispositivos Médicos. Brasília; 2020.
25. Agência Nacional de Vigilância Sanitária. Manual para Regularização de Equipamento Médico e Software como Dispositivo Médico na Anvisa. Versão 1.3. Brasília; 2026.
26. Conselho Federal de Medicina. Código de Ética Médica: Resolução CFM nº 2.217/2018, modificada pelas Resoluções CFM nº 2.222/2018 e nº 2.226/2019. Brasília; 2019.
27. US Food and Drug Administration. Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions. Final Guidance. 2026.
28. European Union. Directive (EU) 2022/2555 concerning measures for a high common level of cybersecurity across the Union (NIS2). Official Journal of the European Union; 2022.
29. World Health Organization. Global Strategy on Digital Health 2020–2027. Geneva; updated 2025.

Apêndice - Checklist de bolso para o corpo clínico

# Legenda

1. Antes de agir	
2. Pergunta de segurança

A)
1. Mensagem	
2. Eu esperava esta solicitação? O remetente e o domínio são realmente institucionais?

B)
1. Urgência	
2. A urgência é clínica real ou foi criada para impedir verificação?

C)
1. Identidade	
2. Confirmei a pessoa por diretório ou canal independente?

D)
1. Link/QR	
2. Posso entrar pelo portal conhecido em vez de usar o link recebido?

E)
1. Credencial/MFA	
2. Alguém está pedindo senha, token, código ou aprovação? A resposta deve ser não.

F)
1. Dados	
2. Há necessidade assistencial, autorização e mínimo necessário?

G)
1. Arquivo/atualização	
2. O pacote veio de repositório oficial e foi aprovado?

H)
1. Suspeita	
2. Parei, preservei a evidência e reportei imediatamente?

I)
1. Impacto clínico	
2. Preciso acionar downtime, liderança assistencial ou segurança do paciente?

Bom dia, Ricardo! Tranquilo?

Gostei demais da sua pesquisa, continue assim!

Mandou muito bem explorando a transformação digital dos hospitais em ecossistemas ciberfísicos, apresentou com clareza os riscos da engenharia social no ambiente clínico e ainda destacou a importância da atuação do corpo clínico como barreira de segurança. Esse raciocínio mostra profundidade técnica, visão crítica e preocupação em alinhar tecnologia com a segurança do paciente.

Se quiser aprofundar ainda mais, algumas boas práticas são:

• Governança institucional: criar políticas claras de cibersegurança que envolvam todos os profissionais.
• Treinamento contínuo: capacitar equipes para reconhecer gatilhos cognitivos e responder a incidentes.
• Planos de contingência: estruturar protocolos para manter o cuidado mesmo diante de ataques ou falhas.

Continue postando as suas soluções! Além de ganhar pontos de XP na plataforma, você pode ajudar outros estudantes no fórum.

Ah, uma pergunta: você considera mais relevante investir primeiro em fortalecer a cultura institucional de segurança ou em ampliar a capacitação técnica individual dos profissionais de saúde?

Fico à disposição! E se precisar, conte sempre com o apoio do fórum.

Abraço e bons estudos!

Conte com o apoio da comunidade Alura na sua jornada. Abraços e bons estudos!

Bom dia, Daniel! Tudo tranquilo?

Agradeço demais pelo retorno e pelas sugestões de leitura.

Estimular uma Cultura Institucional de Segurança

Na Saúde, segurança é tão importante quanto competência técnica. Sempre nos foi ensinado a ser cauteloso em tudo
que nos envolve. Imagine um Cirurgião habilitoso mas que comete falhas de segurança, incluindo em campo operatório.
Estas falhas podem e porão tudo a perder.

No ATLS - Advanced Trauma Life Support qual é a regra fundamental que devemos seguir antes de começarmos a atender
vítimas de trauma? A segurança minha, da equipe e da cena. É proibido e até mesmo irresponsável iniciar um atendimento
em um cena que está fatada a provocar outro acidente na 1a hora do trauma.

Portanto, a cibersegurança dentro do contexto médico assistencial inteligente deve ser encarada com a mesma percepção.
Aonde não existe segurança contra crimes cibernéticos jamais haverá a possibilidade de mantermos um ambiente sem
surpressas desagradáveis de todas as naturezas, incluisive das ações litigiosas contra profissionais que se eximiram dessa
questão, o que foi muito bem enfatizado no 2o Curso recentemente concluído na FAIR Institute.

Enfim, considero como melhor estratégia iniciar fortalecendo a cultura institucional de segurança. Na vigência de uma sólida
cultura sobre uma tema deliquado como o que estamos tratando, cria-se o ambiente necessário para que capacitação técnica
realmente funcione. Capacitações técnicas formatadas em modelos de treinamento isolado e deconectados da prática diária
enfrentam muita resistência e não costumam ter vida longa.

Nesse contexto, vale a pena ressaltar o papel da Gestão Hospitalar, que deve estar presente e efetivamente valorizar aqueles que
estão se esforçando e se qualificando. Infelizmente, esse cenário não tem sido realidade em muitos nosocomios, algo que acho não
ser o propósito dessa nossa reflexão.

Campanhas Educativas

Vejo isso acontecer em campanhas educativas bem-sucedidas na área da saúde, como a Semana de Prevenção da Sepse, que mobiliza
toda a instituição com palestras, jograis, materiais informativos e ações práticas. Esse tipo de abordagem coletiva gera engajamento,
reduz resistência e cria um senso de propósito compartilhado.

Em cibersegurança, o efeito deverá ser semelhante: quando todos entendem o “porquê”, o “como” se torna muito mais natural.

Governança Hospitalar

Além disso, o próprio modelo de governança hospitalar descrito no curso reforça que a cultura é um dos pilares essenciais para sustentar
qualquer programa de segurança — ela aparece antes mesmo da formação técnica, porque define papéis, expectativas e comportamentos
desejáveis .

Depois que essa base cultural está estabelecida, a capacitação técnica individual se torna muito mais eficaz. Aí entram os microtreinamentos, simulações e exercícios práticos, que também foram recomendados como parte da educação continuada institucional.

Resumo

Enfim,
Primeiro cultura, depois a técnica, sempre com campanhas que envolvam todos os profissionais, para que a segurança passe a ser parte da identidade institucional e não apenas um tema de TI.

Obrigado novamente pelo incentivo! Vou continuar contribuindo no fórum.